GCP HA VPN odmieta FortiGate: typ lokálneho ID sa nezhoduje
Google porovnáva identitu, ktorú FortiGate tvrdí, nielen vopred zdieľaný kľúč. Lokálne ID typu FQDN zlyhá v tejto kontrole, zatiaľ čo log stále hovorí autentifikácia.
AUTHENTICATION_FAILED z Google Cloud HA VPN zvyčajne posiela ľudí späť k vopred zdieľanému kľúču, a kľúč býva správny. Tunel sa zasekne vo fáze 1, pretože Google porovnáva aj niečo iné: identitu, ktorú partner tvrdí počas výmeny IKE. Na FortiGate môže táto identita zmeniť typ bez toho, aby niekto upravil adresu. Čítajte log ako nezhodu identít po tom, čo bol kľúč dvakrát znovu zadaný.
Jedno zlyhanie, dve kontroly
IKE overuje partnera v dvoch oddelených krokoch. Vopred zdieľaný kľúč dokazuje, že obe strany majú rovnaké tajomstvo, a tvrdená identita hovorí odpovedajúcej strane, kým sa partner vyhlasuje. Google porovnáva tú identitu s partnerom, s ktorým bol nakonfigurovaný. Ak sa nechá tak, FortiGate pošle identitu založenú na adrese odvodenú z východiskového rozhrania, a porovnanie prejde bez toho, aby si to niekto všimol.
Oba kroky skončia v tom istom vedre v logu, čo vysvetľuje známu slučku prepisovania kľúča štyrikrát, kým niekto prečíta dátovú časť identity.
Čo FortiGate dáva do dátovej časti identity
Problém začína, keď niekto nastaví lokálne ID aby sa obe strany zhodli. Nedávne zostavenia FortiOS označujú tú identitu ako plne kvalifikované doménové meno, aj keď je zadaná hodnota adresa s bodkami. Google teda dostane identitu FQDN, zatiaľ čo očakáva adresu, a reláciu odmietne. Nič v správe nehovorí, ktorá polovica zlyhala, takže správa sa číta ako zlyhanie autentifikácie.
Zreprodukujte to raz so zapnutým ladením IKE a prečítajte dátovú časť identity, ktorú firewall skutočne vysiela.
V tom istom priechode potvrďte tri lacné fakty: verziu IKE, ktorú používajú obe strany, presný kľúč vrátane neviditeľných koncových znakov, a adresu partnera, ktorú Google očakáva. Odpovedajú na rôzne otázky a zhodný kľúč o identite nehovorí nič.
Možnosti a čo každá stojí
Každé východisko opravuje inú vrstvu a žiadne nie je dostupné pre každé nasadenie.
| Option | When it works | What it costs |
|---|---|---|
| Set an address identity on the firewall | Your firmware lets you choose the type | Behaviour you must retest per release |
| Put a public address on the negotiating interface | The firewall can hold a routable address | Not possible behind NAT |
| Terminate on a peer that accepts your identity | Another endpoint validates what you produce | A topology change |
Oprava identity na firewalle je najčistejšia odpoveď tam, kde firmware dovolí zvoliť typ a zachovať hodnotu. Pole existuje v niektorých zostaveniach a v iných vypĺňa typ nesprávne, preto testujte svoju verziu, namiesto toho aby ste verili poznámkam k vydaniu.
Smerovateľná verejná adresa na vyjednávacom rozhraní je dokumentované obídenie, pretože predvolená identita potom zodpovedá tomu, čo Google očakáva, a nie je potrebné žiadne prepísanie. Tam končí väčšina nasadení, ak firewall takú adresu vôbec udrží.
Ukončenie na partnerovi, ktorý overuje to, čo produkujete, je zmena topológie. Berte to ako návrhové rozhodnutie, nie ako obídenie s priateľskejším opisom.
Keď NAT odoberie jednu možnosť
Za NAT východisko cez verejnú adresu mizne a to, čo zostane, závisí od správania firmvéru, ktoré neovládate. To je okamih pre vedomú voľbu medzi aktualizáciou, premiestnením partnera alebo prijatím iného cloudového koncového bodu. Sú to tri rôzne rozpočty a náhodný výber jedného je spôsob, akým sa dočasné obídenie stane architektúrou. Napíšte voľbu a jej dôvod vedľa tunela.
Skôr než čokoľvek z toho vyložíte, potvrďte stav tunela na strane Google a že IKE sa jednoducho nezahadzuje cestou. Zahodený paket vyprší; nevyvolá odmietnutie.
Čo zaznamenať, kým to funguje
Zapíšte typ identity, jej hodnotu, verziu firmvéru a adresu partnera, ktoré platili, keď tunel naposledy naskočil. Aktualizácia firmvéru môže predvolenú hodnotu znova zmeniť a ďalšie zlyhanie bude vyzerať presne ako nezhoda kľúča. Keď je identita uložená vedľa kľúča a adresy partnera, ďalší človek začína lacnými kontrolami.
Tento záznam je aj jediný spôsob, ako zistiť, či je obídenie po ďalšej aktualizácii ešte potrebné.